Наразі організації мали найбільшу слабкість у боротьбі з кіберзлочинністю під контролем: співробітників було успішно навчено та інформовано. Але з шахрайством із соціальною інженерією, створеним ШІ, приходить нова хвиля. Поки технологія не стане зрілою, люди повинні грати роль сторожового пса, каже Честер Вішневскі, технічний директор із прикладних досліджень Sophos, і робить три прогнози на майбутнє.
Організації зіткнулися з одним із найважливіших компонентів кібербезпеки: своїми людьми. Вони протидіють «людській слабкості» постійним навчанням і тепер часто вірять, що користувачі розпізнають потенційні фішингові атаки, наприклад, через мовні порушення або неправильне написання та граматику.
AI більше не виявляє себе через орфографічні помилки
Але генератори голосу та контенту на основі штучного інтелекту, такі як ChatGPT, уже на шляху до усунення цих ознак від шахрайства, спроб фішингу та інших атак соціальної інженерії. Фальшивий електронний лист від «керівника» може звучати переконливіше, ніж будь-коли, завдяки штучному інтелекту, і працівникам, безсумнівно, буде важче відрізнити факт від вигадки. У випадку цих шахрайств ризики, пов’язані з мовними інструментами штучного інтелекту, не є технічними, а соціальними, а отже, лякають.
Специфічні ризики фішингових атак, створених ШІ
Від створення публікацій у блогах і кодування коду до створення професійних електронних листів, мовні інструменти штучного інтелекту можуть зробити все. Ці технології вправно створюють привабливий вміст і неймовірно добре імітують шаблони людської мови.
Хоча ми ще не підтвердили зловживання цими програмами для соціально розробленого вмісту, ми підозрюємо, що це неминуче. ChatGPT вже використовувався для створення зловмисного програмного забезпечення, і ми очікуємо, що незабаром злочинці розроблять шкідливі програми для голосових інструментів ШІ. Але: створений штучним інтелектом фішинговий контент уже створює унікальні соціальні ризики, які підривають технічний захист!
Фішингові атаки ШІ: чи кожен електронний лист може бути загрозою?
Візьмемо, наприклад, створене ШІ зловмисне програмне забезпечення: існуючі продукти безпеки можуть проаналізувати код коду за мілісекунди та впевнено оцінити його як безпечний або шкідливий. Що ще важливіше, технології можуть протидіяти технологіям.
Але слова та нюанси, вбудовані у фішингові повідомлення, створені за допомогою штучного інтелекту, не можуть бути виявлені машинами — саме люди сприйматимуть ці спроби шахрайства як одержувачів. Оскільки інструменти штучного інтелекту здатні створювати складний і реалістичний контент на вимогу, ми можемо все менше покладатися на людей як частину лінії захисту.
Новий факт: технології проти технологій
Ця ситуація, що швидко розвивається, вимагає переоцінки ролі навчання безпеки в боротьбі з атаками соціальної інженерії. Хоча комерційного застосування проти шахрайства, створеного штучним інтелектом, ще немає, технологія все більше слугуватиме ключовим інструментом для ідентифікації та захисту людей від машинних фішингових атак. Люди все ще відіграватимуть певну роль, але лише дуже незначну.
Три пророцтва для віку ChatGPT
Хоча ми все ще перебуваємо на ранніх етапах цієї нової ери штучного інтелекту, уже ясно, що створений штучним інтелектом фішинговий контент стане надзвичайно важливою темою для корпоративної стратегії безпеки. Наступні три прогнози щодо того, як ChatGPT можна буде використовувати як інструмент для боротьби з кіберзлочинністю та які заходи безпеки будуть розроблені з цього, здаються найбільш вірогідними:
1. Буде необхідна більш складна автентифікація користувача.
Машини дуже добре звучать як люди, тому в компаніях необхідно надати нові варіанти автентифікації. Це означає: кожна комунікація, яка стосується доступу до інформації компанії, систем або грошових елементів, повинна вимагати складніших форм автентифікації користувача. Підтвердження телефонного дзвінка, ймовірно, стане найпоширенішим методом перевірки таких типів електронних листів або повідомлень. Компанії також можуть використовувати секретний щоденний пароль, щоб ідентифікувати себе іншими організаціями чи особами.
Деякі фінансові установи вже працюють таким чином. Яку б форму перевірки не використовували, важливо, щоб цей метод не міг бути легко використаний зловмисниками, які скомпрометували облікові дані користувача.
Оскільки технології ШІ розвиваються та поширюються з шаленою швидкістю, методи автентифікації мають не відставати. Наприклад, у січні цього року Microsoft оприлюднила VALL-E, нову технологію AI, яка може клонувати людський голос після трьох секунд аудіозапису. Тож у найближчому майбутньому телефонний дзвінок, ймовірно, більше не буде достатньою вимогою для автентифікації...
2. Законні користувачі зменшують попередження безпеки: усі або жодного
Честер Вишневскі, технічний директор із прикладних досліджень Sophos (Зображення: Sophos).
Багато користувачів використовують ChatGPT для швидкого створення професійного або рекламного контенту. Законне використання мовних інструментів штучного інтелекту ускладнює відповіді на питання безпеки, ускладнюючи ідентифікацію злочинних прикладів.
Приклад: не всі електронні листи, що містять текст, згенерований ChatGPT, є зловмисними, тому ми не можемо заблокувати їх усі. Це певною мірою послаблює нашу реакцію безпеки. Як контрзахід постачальники рішень безпеки можуть розробити «точки довіри» або інші індикатори, які оцінюють вірогідність того, що повідомлення чи електронна пошта, хоча й створені штучним інтелектом, все ще заслуговують довіри. Вони також могли б навчити моделі штучного інтелекту розпізнавати текст, створений за допомогою штучного інтелекту, і розміщувати банер із застереженням на системах, орієнтованих на користувачів. У деяких випадках ця технологія може відфільтровувати повідомлення з електронної пошти співробітника.
3. Шахрайство, створене ШІ, стане більш інтерактивним
Я очікую, що в майбутньому злочинці використовуватимуть мовні програми штучного інтелекту ще більш інтерактивно для створення фішингових електронних листів або одноразових повідомлень. Шахраї можуть використовувати цю технологію для маніпулювання людьми через чат у реальному часі.
Сервіси обміну повідомленнями, такі як WhatsApp, Signal або Telegram, мають наскрізне шифрування, тому ці платформи не можуть фільтрувати шахрайські повідомлення або повідомлення, згенеровані ШІ, у приватних каналах. Це може зробити їх дуже привабливими для шахраїв, які переслідують своїх жертв на цих платформах.
З іншого боку, така розробка може змусити організації переналаштувати свої рішення безпеки. Може знадобитися використовувати технології фільтрації на кінцевих пристроях окремих співробітників.
Поки нові технології не закріпляться, діє наступне: не довіряйте будь-якому спілкуванню
Інструменти мови ШІ ставлять важливі питання для майбутнього кібербезпеки. З’ясувати, що є реальним, стає все важче, і майбутні події не полегшують це. Технології стануть основною зброєю проти кіберзлочинності, керованої ШІ. Але тепер співробітники повинні втрутитися і навчитися не довіряти будь-якому спілкуванню. В епоху ChatGPT це не надмірна реакція, це критична відповідь.
Більше на Sophos.com
Про Софос Sophos довіряють понад 100 мільйонів користувачів у 150 країнах. Ми пропонуємо найкращий захист від складних ІТ-загроз і втрати даних. Наші комплексні рішення безпеки прості в розгортанні, використанні та керуванні. Вони пропонують найнижчу сукупну вартість володіння в галузі. Sophos пропонує відзначені нагородами рішення для шифрування, рішення безпеки для кінцевих точок, мереж, мобільних пристроїв, електронної пошти та Інтернету. Також є підтримка від SophosLabs, нашої глобальної мережі власних аналітичних центрів. Штаб-квартири Sophos знаходяться в Бостоні, США, та Оксфорді, Великобританія.